Baromètre e-mail : DMARC, SPF et MTA-STS de 50 domaines français

Par Jarod Capella · Mis à jour le 14 novembre 2026 · 4 min de lecture

Mesure faite le 6 novembre 2026 par requêtes DNS publiques (DNS over HTTPS) sur le domaine principal de 50 organisations françaises connues : 15 sites de l’État et du Parlement, 16 grandes entreprises, 8 médias, 11 acteurs du commerce et des services. Aucune donnée privée, aucun envoi de message : on lit seulement ce que chaque domaine publie.

Résultats

• DMARC publié : 48 domaines sur 50. Absents : service-public.fr et education.gouv.fr.
• Politique reject : 29. Quarantine : 12. None (surveillance seule) : 7.
• Adresse de rapports (rua) présente : 43 sur 50. Les 7 autres n’exploitent donc aucun rapport agrégé, ou le font ailleurs.
• MTA-STS publié : 1 seul (danone.com).
• SPF à 9 requêtes DNS ou plus : 4 (renault.com 10, lefigaro.fr 10, cdiscount.com 10, michelin.com 9). À 10, la moindre inclusion ajoutée casse SPF.

Par groupe, la part de reject : grandes entreprises 10 sur 16, commerce et services 8 sur 11, État et Parlement 7 sur 15, médias 4 sur 8. Les trois p=none de l’État sont legifrance.gouv.fr, assemblee-nationale.fr et senat.fr.

Ce que cela dit d’une TPE

Même parmi ces 50 organisations, 7 restent à p=none et 12 à quarantine : atteindre reject demande de lire les rapports et de corriger les expéditeurs oubliés, ce n’est pas un réglage d’une minute. Pour une TPE, l’objectif reste quarantine puis reject. Le guide de progression détaille les étapes, le générateur produit l’enregistrement.

Limites de la mesure

• Échantillon choisi à la main, non représentatif de l’ensemble des entreprises françaises, et surtout pas des TPE. Ne pas en tirer un pourcentage national.
• Seul le domaine principal est lu. Une organisation peut envoyer depuis un sous-domaine mieux ou moins bien protégé. Un enregistrement absent ici ne signifie pas qu’aucun contrôle n’existe ailleurs.
• Le coût SPF est compté par le script d’audit : include, redirect, a, mx, ptr et exists comptent 1 chacun, mais les noms renvoyés par un mx ne sont pas dénombrés. Le chiffre peut donc être sous-estimé ; à revérifier avant toute décision.
• Photographie du jour : ces enregistrements changent. Le script _outils/barometre.py refait la mesure ; l’audit d’un domaine précis est dans le script d’audit.

Détail par domaine